정보보안 개론 - Operations Security
통제와 보호
운영 보안 정의
- 비즈니스 환경이 계획되고 검증된 일정 수준으로 보호되기 위한 일련의 조치와
통제가 수행되는것
운영 보안의 요소
- 위협 : 보안 통제 위반으로 손해를 발생 시킬수 있는 사건 – 관리자의 권한 남용
- 취약성 : 보안 통제를 위반 할 가능성이 있는 시스템의 약점 – 부정확한 직무 분리
- 자산 : 보호 대상인 IS 설비 및 인력, 프로세스
운영 통제의 영향
- 기밀성 : 정보 민감도
- 무결성 : 데이터의 정확성과 인증
- 가용성 : 장애 방지 및 허용 수준과 복구 능력
운영 보안의 상대
- 내.외부 침입자
- 부적절한 자원에 접근하는 사용자 및 운영자
- 운영 환경에 대한 위협
통제 정의
- 위험을 감소시키기 위하여 만들어진 정책, 절차, 업무, 조직구조 등을 말한다.
통제 목적
- 조직의 경영 목적 달성
- IS 관련 내부 통제
IS가 조직의 전략에 부합되게 경영진이 동의하는 수준으로 위험을 감소시킬
것이라는 합리적인 확신을 제공
- 위험이 적절히 예방, 적발, 수정 될 것이라는 합리적인 확신을 제공해 주는 것
- 경영진이 제기한 관심사를 기반으로 한다.
내부 통제의 운영(내부 통제 : 감사나 감리를 해야하는 특정분야)
- 조직내의 모든 수준에서 운영 (하향식 통제 모델 개발이 필요)
- 모든 구성원이 해당 프로세스에 참여해야 한다.
- 이사회나 경영진의 책임
- 내부 통제 촉진을 위한 적절한 조직 문화 구축
- 내부 통제의 효과를 지속적으로 모니터링
예방통제
- 시스템의 돌발적인 장애와 허가되지 않은 침입을 방지하기 위한 통제
- 방화벽, 암호, 업무 프로시저 검토, 기도
탐지 통제
- 신속한 에러감지를 통해 시스템상의 영향을 최소화 하기 위한 통제
- 침입탐지 시스템, 감사 추적, 감사 로그
교정(복구) 통제
- 문서화된 복구 프로시저를 통해 에러의 영향을 최소화 하기 위한 통제
- 백업, 아카이빙, raid
추가 통제
- 저지통제
규칙에 순응하도록 유도하는 통제, 예방 탐지에 대한 보안 통제,
교육, 철저한 보복
응용 통제
- S/W에 특화된 통제
- 이상행위를 탐지하고 최소화 하기 위한 통제
- 트랜잭션 통제 등이 있다.
트랜잭션 통제 (DB 트랜잭션 : insert, update, delete 수행할때 commit, rollback 둘중에 하나를 하더라도
데이터베이스 내부가 바뀐다.)
(업무를 수행할때 뭔가 일어나는지 인지하지못할수도 있지만 변화는 생긴다?)
입력 통제
- 정확한 값이 한번만 처리됨을 보장하기 위한 통제
- 타임스탬프나 처리 개수 확인
처리 통제
- 트랜잭션이 유효하고 정확한 프로세스에 의해서 처리됨을 보장하는 통제
출력 통제
- 출력물이 권한이 있는 곳이나 인원에게만 배포됨을 보장하는 통제 : 출력물에 대한 기밀성
- 입력 값에 대한 출력 값의 무결성을 보장 (처리 통제로 구분하기도 한다.)
변경 통제
- 프로세스등 시스템상의 변경이 인가된 안전한 변경이 됨을 보장하는 통제 : 시스템의 무결성
테스트 통제
- 시스템을 테스트 하는 동안 안전성을 보장하기 위한 통제
내부 회계통제
- 자산보호, 회계기록의 신뢰성
운영 통제
- 일상적인 운영이나 활동, 기능들이 경영 목적에 부합하도록 통제 하는것
관리 통제
- 각각의 기능이 내부의 운영 정책에 부합하는가에 관련된 통제로 운영의
효율성이나 정책 준수와 관련된 운영 통제의 일부
원래 운영 통제란 조직은 운영하는 비즈니스 정책에 대한 통제를 의미하지만 CISSP
에서 운영 통제는 IS 시스템으로 시야를 제한해서 IS 보안과 관련된 통제를 의미하고
관리 통제는 IS 운영 통제를 제외한 전반적인 비즈니스와 관련된 인사나 일반 업무와
관련된 통제를 의미한다.
관리 통제
- 주로 직원의 인사 관리 정책과 관련된 통제
관리통제의 주요 항목
직원보안
- 신원조회 및 배경조사, 보증인 …
- 강제 휴가, 직무 순환
- 퇴직직원 관리 규정
- 직무분리와 책임 추적성
- 최소 권한 (읽기전용, 읽기쓰기, 접근 권한 변경)
- 알아야 할 필요성에 의한 권한 할당
- 신의 성실 : 교육이나 선언을 통해 적절한 실무사례를 따르도록 하는 통제
- 문서화
보안의 시작
- 자산
- 자산식별 – 위험 평가 – 통제 개발 – 통제 적용 – 취약성 평가
- 직무
- 직무 분리 – 직무 순환 – 통제 평가 …
운영 통제
컴퓨터 운영을 보호하기 위한 통제
자원 보호
H/W
- 통신, 저장매체, 처리 시스템, 독립 컴퓨터, 프린터나 팩스
S/W
- 프로그램 소스와 라이브러리, 패키지나 구매 소프트웨어 s/n, OS나 시스템 유틸리티
- 주로 유지, 보수, 테스트, 저장 등에 관심 (개발은 무관)
데이터
- 백업 데이터, 여러 데이터 파일, 패스워트 파일, 로그 파일이나 감사 관련 파일
H/W 통제
- 유지 보수 관련 작업자나 작업 통제
- 유지 보수용 계정 통제
- 진단 포트 통제
S/W 통제
- 안티바이러스 관리
- S/W 테스팅 통제
- 시스템 유틸리티
정보자산에 대한 접근 권한
- 컴퓨터 자원으로 작업을 할 수 있는 능력 (주로 기술적인 능력)
- Need-to-know의 원칙에 따라 문서화가 필요
- IS 감사인이 보안 특권의 허용이나 승인 기준의 적절성을 평가할 때 이용
- 승인은 직무분리의 원칙, *need-to –know 원칙*, *최소권한 원칙*에 따라 승인
(이 단계전에 업무분석이 되어 있어야함.(ERP,ISP))
- 자산에 대한 필요성과 승인된 자산에 대해서 승인된 접근 방법으로만 작업이 가능하도록 제한함.
- 승인 실무
- 정보 소유자나 사용과 보고에 대한 책임을 맡은 관리자는 자원 접근에 대한 서면 승인을
보안 관리자에게 직접 전달할 의무를 가진다
- 승인의 최종 결정 : 소유자, 승인 실무 : 보안 관리자
특권 개체 통제
- 특권 개체 접근은 특권 운영 기능이라고도 하는데 운영자와 시스템 관리자에게
주어지는 특별한 접근 권한을 의미한다.
- 시스템 통제 프로그램
- 운영시스템의 파라미터에 대한 접근
- 시스템 명령에 대한 접근
모니터링과 감사 - 모니터링
모니터링의 목적
문제 식별과 해결
정의
- IS 설비에 영향을 미칠 수 있는 보안 사건을 식별하는 메커니즘과 도구, 기술을 포함한 개념
모니터링을 위한 기술
침입탐지(intrusion Detection)
- 침입시도를 탐지하고 분석하는 도구를 이용
- 침입을 식별하고 트래픽 패턴을 샘플링한다.
침투 테스트
- 포트스캐닝과 프로빙(probing)
- 스니핑(도청)
- 데몬다이얼링
- 추가적인 테스트기법
- 쓰레기통 뒤지기(Dumpster Diving)
- 사회 공학적인 방법
- 클리핑 레벨 설정을 통한 위반 분석 : 상한선을 정해서 상한선을 넘는 움직임을 분석한다.
모니터링과 감사 - 감사
감사(경영진을 보호)는 IS 운영 전략이 조직의 운영전략과 일치함을 보증하는 역할을 한다.
보안 감사
- IS운영이 권고안이나 법적인 의무 사항 그리고 조직 내부의 표준 업무 프로세스에 준거성
확보되는지 점검하며 운영 비용 효과성에 대해서 감사하고 적절한 통제를 권고한다.
IS관련 감사 대상
- 백업 통제
- 트랜잭션(프로세스) 통제
- 데이터센터 보안
- 비상계획
- 시스템 도입 및 개발 표준
- 라이브러리 운영 절차
감사 추적
- 시스템 내에 변경사항에 대한 책임 추적성을 제공
- 감사 추적 정보는 변경되어서는 안되지만 감사자가 쉽게 인증받아 접근할 수 있어야 한다.
- 감사 로그에 기록되는 트랜잭션 정보
- 날짜와 시간, 주체(사람), 접근 터미널 또는 시스템, 관련된 다양한 보안 관련 사건
- 감사 로그 사용시 중요한 보안 이슈
- 오프사이트 스토리지에 보관된 감사 정보 보유와 보호
- 사건 발생시 감사 정보의 가용성에 대한 보호
- 감사로그 정보에 대한 변경 통제